OpenCode 密钥泄露：1.4% 用户受影响，收到邮件的请立刻换钥匙 🔑

10月17日，开源 AI 编程工具 OpenCode 公开披露一起安全事件：攻击者未经授权访问了一个正在退役的旧系统，部分用户保存在工作区里的第三方 AI 服务密钥可能外泄，涉及 OpenAI、Anthropic、谷歌等服务商的密钥。OpenCode 表示受影响的是约 1.4% 的 Console 用户，且都已通过邮件单独通知，没收到邮件的用户则不在受影响范围内。

为什么重要：对开发者来说，API 密钥就等于一张直接扣费的信用卡。密钥一旦落到别人手里，对方可以用你的账户调用最贵的模型，账单可能在你察觉之前就被刷爆。已有用户报告出现自己没产生过的调用费用，还有人遇到谷歌云项目被停用等连带麻烦。

对普通人意味着什么：如果你用过 OpenCode 并绑定过自己的模型密钥，先去邮箱确认有没有收到 OpenCode 的通知；收到了就立刻到各家服务商的后台吊销旧密钥、换上新密钥，再检查一遍近期的用量和账单，并给密钥设好消费上限。哪怕你没用过 OpenCode，这件事也是个提醒：别把密钥明文存在任何第三方工具里，能用环境变量和最小权限就别图省事。

一点分歧要说明：OpenCode 把这次事件描述为「大规模蒸馏攻击」，但「蒸馏」通常指用模型输出训练另一个模型，这次其实是密钥外泄，业内对这个说法有质疑；公司也表示事件仍在调查中，密钥是否已被实际滥用尚未确认。

喜欢的话点个赞、点个关注，我会持续更新汽车、AI、具身智能行业的最新进展，和大家一起见证物理 AI 进入真实世界！